如何在数据库中安全地执行增量更新操作

// 错误的更新尝试
mysqli_query($connections, "UPDATE inv_tbl SET inhouse = '$new_quantity + $in' WHERE id = '$id'");

<?php
include("../../connection.php"); // 假设 $connections 是 mysqli 数据库连接对象

if (isset($_POST['update'])) {
    $id = $_POST['id'];
    $quantity_to_add = $_POST['quantity'];

    // 1. 准备SQL语句，使用占位符 (?) 进行参数化
    // 直接在SQL中执行算术运算: inhouse = (inhouse + ?)
    $statement = $connections->prepare("UPDATE inv_tbl SET inhouse = (inhouse + ?) WHERE id = ?");

    // 检查 prepare() 是否成功
    if ($statement === false) {
        // 处理错误，例如记录日志或显示错误信息
        die('MySQL prepare error: ' . $connections->error);
    }

    // 2. 绑定参数
    // "ii" 表示两个参数都是整数 (i = integer)
    // 假设 $quantity_to_add 和 $id 都是整数
    $statement->bind_param("ii", $quantity_to_add, $id);

    // 3. 执行语句
    $execute_success = $statement->execute();

    // 4. 检查执行结果并处理
    if ($execute_success) {
        if ($statement->affected_rows > 0) {
            // 更新成功，并且有记录被影响
            addLog($connections, "Added a stock for ID: " . $id . ", quantity: " . $quantity_to_add);
            // 记录日志的函数需要自行实现
            // function addLog($conn, $message) { /* ... */ }
        } else {
            // 更新成功，但没有记录被影响 (例如，id不存在)
            error_log("No record updated for ID: " . $id);
        }
    } else {
        // 执行失败
        error_log("MySQL execute error: " . $statement->error);
        // 可以重定向到错误页面或显示错误信息
    }

    // 5. 关闭预处理语句
    $statement->close();

    // 重定向到库存页面
    header("location: ../stocks.php");
    exit(); // 确保重定向后脚本终止执行
}
?>

<!-- HTML部分，用于显示数据和提交更新请求 -->
<?php
// 假设 $connections 已连接
$result = mysqli_query($connections, "SELECT * FROM inv_tbl WHERE itemtype = 'Slim' OR itemtype='Round'");
if ($result) {
    while ($row = mysqli_fetch_assoc($result)) {
        $id = $row['id'];
        $item = $row['itemtype'];
        $in = $row['inhouse'];
        // ... 其他字段

        echo '<tr>
                <td> ' . $item . ' </td>
                <td> ' . $in . ' </td>
                <!-- ... 其他td -->
                <td>
                    <button class="btn btn-success" data-bs-toggle="modal" type="button" data-bs-target="#update' . $id . '">Add</button>
                </td>
              </tr>';

        // 模态框定义
        echo '<div class="modal fade" id="update' . $id . '" tabindex="-1" role="dialog">
                <div class="modal-dialog modal-dialog-centered">
                    <form method="POST" action="stocks/update-query.php">
                        <div class="modal-content">
                            <div class="modal-header text-white">
                                <h5 class="modal-title"><strong>Add ' . $item . ' gallon</strong></h5>
                            </div>
                            <div class="modal-body">
                                <div class="row form-group">
                                    <div class="col-md-5">
                                        <input type="hidden" name="id" value="' . $id . '"/>
                                        <label for="item" class="text-black"><strong>Item</strong></label>
                                        <input class="form-control" type="text" name="item" value="' . $item . '" disabled>
                                    </div>
                                    <div class="col-md-6">
                                        <label for="quantity" class="text-black"><strong>Inside warehouse quantity:</strong></label>
                                        <input class="form-control" min="0" type="number" name="quantity" required>
                                    </div>
                                </div>
                            </div>    
                            <div class="modal-footer">
                                <button type="button" class="btn btn-secondary" data-bs-dismiss="modal">Close</button>
                                <button name="update" type="submit" class="btn btn-primary">Add</button>
                            </div>
                        </div>
                    </form>
                </div>
              </div>';
    }
}
?>